Quali elementi incidono sul costo di un Vulnerability Assessment?

Sono mesi e mesi che il tuo IT Manager dice che il sistema informatico della tua azienda ha bisogno di un Vulnerability Assessment e quindi, oggi ti sei messo al computer alla ricerca di informazioni su questo servizio. Hai trovato decine e centinaia di articoli tecnici sulle funzionalità di un Test di Vulnerabilità ma nella tua testa continui a chiederti se sia davvero necessario dedicare parte del budget a questa attività.

Ti sveliamo un segreto: il tuo tecnico informatico non è affatto impazzito, al contrario, se è proprio lui ad averti fatto questa richiesta significa che davvero gli interessa conoscere lo stato di salute dell’infrastruttura informatica che manda avanti l’intera operatività dell’azienda.

Ebbene, nonostante tutti gli interventi cyber security, l’aver implementato un nuovo firewall e dei buoni programmi antivirus ancora c’è bisogno di intervenire sulla sicurezza IT. Ma perché?

Il problema è che non è possibile sedersi tranquilli alla propria scrivania, non curanti del fatto che i propri sistemi non siano sufficientemente protetti perché abbiamo un firewall ed un antivirus: le tecnologie mutano rapidamente, gli hacker diventano sempre più esperti e le aziende hanno sempre più dati da proteggere.

Questa è la nostra premessa.

In questo articolo, discuteremo di come un Vulnerability Assessment sia importante per determinare non solo lo stato di sicurezza in cui versa la rete informatica della tua impresa ma anche per sapere quali soluzioni implementare per essere sempre al riparo dagli attacchi di virus informatici e hacker. Insieme cercheremo di capire meglio che cosa significa effettuare un test di sicurezza IT e perché serve proprio a te.

Non solo, l’aspetto costi della sicurezza informatica, ed in particolare di un Vulnerability Assessment, è uno di quegli argomenti tabù di cui nessuno parla: oggi lo faremo noi.

1. Che cos’è un Vulnerability Assessment?

2. Dove si esegue un Vulnerability Assessment

3. Vulnerability Assessment sulle macchine industriali

4. Perché fare un Vulnerability Assessment è importante?

5. Quali sono gli elementi che incidono sul costo del Vulnerability Assessment?

6. Tutti i benefici di un Vulnerability Assessment

7. Conclusioni

Un Vulnerability Assessment, in breve, è un test di sicurezza informatica che valuta tutte le vulnerabilità (o falle di sicurezza) presenti all’interno di una rete o di un qualsiasi sistema informatico. Un test di vulnerabilità viene solitamente richiesto per valutare il grado di sicurezza di una rete (LAN-WAN), di un sito web o di un’applicazione web (software web-based).

Notoriamente, l’utilità di un Vulnerability Assessment è data proprio dalla sua capacità di identificare tutte le vulnerabilità o punti deboli di un’area cosicché l’intero reparto tecnico/informatico dell’azienda possa concentrare i suoi interventi dove è necessario. Ma non è finita qui, un Vulnerability Assessment è un test IT in grado non solo di rilevare le criticità di un sistema informatico ma anche di identificare le esatte soluzioni per porvi rimedio. In buona sostanza, quello che ciascuno di noi indicherebbe con i termini: il male e la cura.

Un Vulnerability Assessment (o vulnerability scan) generalmente si esegue sulla rete informatica di un’azienda: il test è completo a tal punto da riuscire ad analizzare sia l’interno della rete (LAN) sia il perimetro esposto all’esterno (WAN). Questo perché entrambi le soluzioni ci permettono di avere una visuale a 360° dello stato di sicurezza di una rete.

All’interno di una rete poi, il Vulnerability Assessment riesce ad analizzare l’integrità di ogni dispositivo (host) connesso: computer, smartphone, tablet, server, NAS, access point, dispositivi intelligenti, stampanti Wi-Fi, domotica e tutto ciò che è connesso (e presente al momento del test) in azienda.

Ma non solo.

Un vulnerability Assessment diventa Web Vulnerability Assessment dal momento che, il cliente richiede un’analisi di sicurezza web. Ciò significa che questo genere di servizio serve anche per constatate lo stato di salute di un applicazione web-based o di un sito web.

Innovatività dentro l’innovatività.

La vera innovazione nel campo dei Vulnerability Assessment è data dalla possibilità di monitorare l’attività delle vulnerabilità informatiche in un ambiente industriale. Sensori, tracker, altoparlanti, robot, serrature, sistemi NVR (telecamere): tutte tecnologie che si stanno diffondendo rapidamente nelle aziende e si palesano come semplici dispositivi fisici connessi ad una rete, al pari dei normali computer.

A bordo di questi dispositivi viene installato un software che ne permette il pieno funzionamento ma che inevitabilmente è soggetto agli stessi pericoli di tutte le altre tecnologie esposte in rete. In questi dispositivi infatti si rilevano altrettanto facilmente servizi di rete non protetti, password facilmente indovinabili, uso di componenti non sicure, mancanza di aggiornamenti, ecc.

Secondo le recenti scoperte, i dispositivi IoT subiscono 5.200 attacchi al mese e tra i più bersagliati troviamo router e videocamere connesse.

Più che per entrare nel merito di come viene eseguito un Vulnerability Assessment, oggi parliamo di quali sono i motivi che spingono un’azienda (di piccole o grandi dimensioni) a richiedere questo servizio per sé e per i propri clienti.

Una scansione delle vulnerabilità informatiche permette senza dubbio di:

• mantenere monitorata la sicurezza IT di un sistema informatico o di un’infrastruttura web;
• monitorare i cambiamenti dell’ambiente IT in funzione dell’evoluzione degli attacchi informatici;
• verificare la continua validità delle soluzioni di sicurezza informatica già presenti in azienda;
• focalizzare i futuri interventi nell’infrastruttura IT solo dove è necessario;
• evitare il dispendio di risorse preziose e limitate.

Proprio su quest’ultimo punto vogliamo porre particolare attenzione, dal momento che, i budget all’interno delle aziende sono un elemento cardine e limitato da considerare. Da qui l’idea di affrontare l’argomento quali elementi incidono sul costo di un Vulnerability Assessment.

Come per qualsiasi servizio, il costo di un Vulnerability Assessment oscilla all’interno di un range di prezzo che cambia al variare di alcuni elementi.

• Complessità e struttura di rete

Il numero di dispositivi e la complessità dell’ambiente da analizzare costituiscono un elemento fondamentale per determinare il costo di un Vulnerability Assessment (rete aziendale o sito web? Interfaccia di login di un’applicazione web o front-end e back-end di un software web?). Naturalmente, più una rete aziendale risulterà estesa e comprenda un numero maggiore di dispositivi, maggiore sarà il tempo da dedicare all’analisi della struttura e di conseguenza anche il costo varierà.

• Vulnerability Assessment tool and skills

I test vengono eseguiti sfruttando tecniche manuali o automatiche e competenze diverse a seconda delle necessità di un’azienda cliente. Tutti gli strumenti utilizzati sono certificati e assolutamente sicuri tuttavia, alcuni richiedono competenze specifiche riservate ad un numero specifico di tecnici. Questo inevitabilmente incide sul costo finale del servizio.

• Attività urgente o servizio pianificato

“Tra 72 ore devo firmare un importante contratto con un cliente che ha richiesto un Vulnerability Assessment del mio sistema informatico, potete aiutarmi?”. Per eseguire un Vulnerability Assessment di un’infrastruttura sono necessari tempi tecnici di esecuzione e di monitoraggio dei risultati: un’analisi fatta frettolosamente e in modo superficiale rende vago lo sforzo di entrambi le aziende coinvolte (azienda che richiede il test e azienda che fornisce il servizio). Questo premesso, le tempistiche richieste per un Vulnerability Assessment cambiano a seconda della struttura da analizzare: possono richiedere solo alcuni giorni ma anche un’intera settimana. A seconda dell’urgenza del test, anche i costi di un Vulnerability Assessment cambiano.

E dunque, è difficile prestabilire senza prima essersi confrontati sul tipo di struttura da analizzare, sulle necessità tecniche e aziendali: in questi casi è sempre necessario il confronto diretto con il cliente.

I benefici di un Vulnerability Assessment anche e soprattutto a livello industriale riguardano diversi aspetti operativi di un’azienda. Chiaramente a partire proprio dalla prevenzione e monitoraggio del sistema informatico di per sé, un test di sicurezza IT rileva i problemi di sicurezza causati da configurazioni errate o obsolete, errori di codice o mancanza di aggiornamenti software e ancora, password deboli per l’accesso ai servizi.

Considerate che molti di questi elementi sono la principale fonte di accesso fraudolento ai sistemi informatici. Alcuni tra i virus informatici più famosi (WannaCry o Petya) sfruttavano proprio la presenza di alcune specifiche vulnerabilità nei sistemi operativi dei dispositivi per introdursi nei sistemi.

Un Vulnerability Assessment se eseguito costantemente nel tempo permette non solo di identificare la presenza di buchi di sicurezza ma anche di fornire indicazioni precise e oggettive su come porvi rimedio affinché nessun hacker possa violare i sistemi.

Ma non è finita qui, un test di vulnerabilità non ha solamente funzioni tecniche/informatiche bensì gioca un ruolo commerciale importante per l’azienda che lo richiede. Le aziende sottoposte al monitoraggio e alla gestione delle vulnerabilità informatiche vantano anche il beneficio di poter utilizzare i certificati emessi dall’azienda cyber security come garanzia di azienda sicura e usarlo come elemento distintivo della propria azienda.

Giunti a conclusione del nostro articolo dobbiamo dirvi che sì, al giorno d’oggi se il tecnico informatico della vostra azienda vi richiede espressamente un Vulnerability Assessment non lo fa per semplice vezzo. Sfortunatamente quando si parla di sicurezza, la maggior parte delle organizzazioni si ferma a ciò che ritiene sufficiente, senza considerare che cosa è davvero necessario.

Oggi, proteggere le proprie tecnologie tramite il solo software antivirus a bordo macchina non è certo una pratica accettabile e sufficiente. L’evoluzione delle minacce è in rapida ascesa e questo perché i cybercriminali dimostrano di saper comprendere la tecnologia e di avere accesso a risorse sempre più sofisticate.

Tutto questo unito alla condizione precaria dei sistemi informatici aziendali rende sempre più impegnativo per i team IT proteggere le risorse interne.

Possiamo stabilire che i team IT lottano letteralmente giorno dopo giorno per stare al passo con gli sviluppi e per far fronte a pericoli web come ransomware, malware e campagne phishing sempre più irriconoscibili.  Inoltre, la gestione della sicurezza deve diventare un processo continuo, un’attività integrata nel un piano aziendale.

Se scegliamo di implementare il supporto di un Vulnerability Assessment, il nostro consiglio è quello di non considerare il costo del servizio come unico indicatore. Soppesate i benefici e l’utilità che il test può dare a tutta l’azienda.